CRA: od 11. 9. 2026 hlásí výrobci zranitelnosti do 24 a 72 hodin

Od 11. 9. 2026 platí ohlašovací povinnost podle čl. 14 nařízení (EU) 2024/2847, tedy Cyber Resilience Actu, a současně běží jednotná ohlašovací platforma ENISA. Na předběžné varování je 24 hodin, na úplné oznámení 72 hodin. Jde o den použitelnosti čl. 14, celé nařízení se použije až od 11. 12. 2027.

Povinnost se váže na produkt, ne na odvětví. Stroj s připojením k síti, vzdálenou správou nebo firmwarem je „produkt s digitálními prvky" — hlášení se týká i výrobce jednoúčelových zařízení, který se dosud považoval za strojaře, ne za IT firmu.

Klíčové parametry

• 24 hodin na předběžné varování, 72 hodin na úplné oznámení
• Závěrečná zpráva do 14 dnů od dostupnosti nápravného opatření u zranitelností, do 1 měsíce od oznámení u incidentů
• Hlásí se aktivně zneužívané zranitelnosti a závažné incidenty ovlivňující bezpečnost produktu
• Oznámení se podává jednou, přes platformu SRP; adresátem je CSIRT země hlavního usazení, informace se zpřístupní ENISA
• Správci open-source softwaru hlásí od 11. 12. 2027 (čl. 24 odst. 3)
• Celé nařízení se použije od 11. 12. 2027 (čl. 71)
• Komise přijala 11. 12. 2025 delegovaný akt k podmínkám odkladu sdílení mezi CSIRT

Pro konstruktéra: Do dokumentace stroje patří popis síťových rozhraní a vzdálené správy: co je otevřené, odkud se lze připojit a jak se přístup ruší. To jsou první otázky při hlášení incidentu, které s vámi bude řešit elektroprojektant.

Pro PLC programátora: Veďte evidenci verzí firmwaru a programů u strojů v terénu. Bez ní v okamžiku incidentu nezjistíte rozsah do 24 hodin. Zároveň si připravte, jak zákazníkovi doručíte opravu — vzdáleně, nebo na místě.

Pro vedení firmy: Určete, kdo hlášení podává a kdo ho zastoupí, a napište to do postupu; čtyřiadvacet hodin nelze splnit improvizovaně. Rozhodněte taky, jestli hlášení běží jen přes platformu SRP, nebo jestli současně informujete zákazníka — to je věc smlouvy, ne předpisu. Povinnost platí i pro výrobce mimo EU, kteří produkt dodávají na unijní trh.